1.465 bảng điều khiển Artex có thể truy cập từ Internet, 21 host ở Việt Nam

1.465 host có bảng điều khiển quản trị Artex (ARTEX) có thể truy cập từ Internet, trong đó có 21 host tại Việt Nam.

Censys công bố kết quả khảo sát ngày 5. Theo báo cáo khảo sát của Censys, số liệu được tính đến ngày 4 và phản ánh số host có bảng điều khiển bị lộ, không phải số vụ tấn công hay số tổ chức bị ảnh hưởng.

Khoảng 650 host tập trung trong hai nhóm máy chủ có cấu hình giống nhau. Sau khi loại trừ các host này, Censys xác định khoảng 815 trường hợp triển khai có vẻ khác biệt.

Mỹ có số host cao nhất với 726, tiếp theo là Hong Kong với 387, Trung Quốc với 177, Nhật Bản với 51 và Việt Nam với 21.

Censys cũng phát hiện các công cụ đe dọa khác trên 155 host Artex. Trong số đó có các khung công cụ tấn công AI khác, công cụ trinh sát và tạo đường hầm, cùng công cụ điều khiển từ xa như Vshell, Cobalt Strike và Adaptix C2.

Trên 32 host Artex khác, Censys tìm thấy các thư mục có thể truy cập từ bên ngoài. Theo Censys, những thư mục này chứa công cụ và phần mềm độc hại được sử dụng sau khi xâm nhập.

Artex là công cụ kiểm thử xâm nhập tự động mã nguồn mở được công bố vào tháng 7. Người dùng xác định phạm vi và mục tiêu kiểm thử, sau đó các tác nhân AI khảo sát hệ thống và thực hiện nhiệm vụ. Công cụ có thể phục vụ kiểm tra bảo mật, nhưng cũng đã có những trường hợp bị lạm dụng cho mục đích tấn công.

Artex chia nhỏ nhiệm vụ theo mục tiêu, để nhiều tác nhân phối hợp thực hiện trinh sát và hành động. Vì vậy, công cụ có thể vận hành mà không cần công khai bảng điều khiển quản trị. Tuy nhiên, Censys cho biết các bảng điều khiển trong cuộc khảo sát đều có thể truy cập từ Internet.

Censys lưu ý không thể xem tất cả bảng điều khiển bị lộ là hoạt động với mục đích xấu; một số có thể được dùng trong các cuộc kiểm thử bảo mật được cấp phép. Dù vậy, theo Censys, không cần thiết phải mở bảng điều khiển ra Internet.

Artex cũng được phát hiện trong một cuộc tấn công nhắm vào các tổ chức tài chính Hàn Quốc. CrowdStrike cho biết trong phân tích về vụ tấn công diễn ra từ cuối tháng 9 đến đầu tháng 10, họ tìm thấy tệp cấu hình Artex và nhật ký hoạt động của công cụ AI trong thư mục công khai trên máy chủ của kẻ tấn công. Phân tích của CrowdStrike cho biết dữ liệu đã bị đánh cắp trong vụ việc.

Censys cho biết thư mục công khai trên máy chủ đó đã có thể truy cập từ ngày 18 tháng 8. Tên các tệp trong thư mục cho thấy ngoài một ngân hàng Hàn Quốc, các mục tiêu còn liên quan đến dịch vụ thanh toán và trò chơi.

TokenPost từng đưa tin về dấu hiệu kẻ tấn công sử dụng AI trong vụ xâm nhập 7 tổ chức tài chính. Khảo sát lần này của Censys cho thấy máy chủ bị cho là đã được dùng trong vụ tấn công đã có thể truy cập từ Internet trước khi phân tích về vụ việc được công bố.

Artex còn được sử dụng trong vụ xâm nhập liên quan đến ConnectWise. Trong phân tích công bố ngày 21 tháng 10, Microsoft (MSFT) cho biết tác nhân Storm-0940 có liên hệ với Trung Quốc đã dùng Artex để dò tìm mục tiêu và tự động hóa việc thử mật khẩu trong vụ xâm phạm chuỗi cung ứng của nhà cung cấp dịch vụ sao lưu đám mây ConnectWise. Microsoft cho biết trong một số cuộc tấn công, thời gian từ lúc xác định mục tiêu ban đầu đến khi đạt được quyền cao trong môi trường đám mây là dưới 3 giờ.

Nhà phát triển Artex cho biết ngày 8 tháng 10 rằng họ sẽ ngừng phát triển công khai và không công bố mã nguồn trong tương lai. Censys cho biết sau khi kho mã nguồn ban đầu bị gỡ, các bản lưu trữ, bản dịch và phiên bản được phát hành dưới tên khác vẫn đang được lưu hành.